Magento、Brotli漏洞遭積極利用

10月27日美國網路安全與基礎設施安全局（CISA）表示，他們根據掌握漏洞遭到積極利用的證據，將兩個新漏洞加入已遭利用的漏洞名單（KEV）。這些漏洞是：電商平臺Adobe Commerce與Magento危險類型檔案上傳未受限制漏洞CVE-2026-48356（PolyShell），以及被稱為Node2Shell、HTTP2Shell、Python2Shell、Brotli2Shell、Broccoli2Shell的CVE-2026-111497，此為Google解壓縮程式庫Brotli回傳值未檢查造成的漏洞。

對於聯邦機構而言，上述兩個漏洞的修補時間有兩週，他們必須在11月10日完成相關工作。其中較值得留意的是CVE-2026-111497，原因是Brotli被嵌入大量軟體與程式庫，其影響範圍相當廣泛，雖然目前尚未出現公開的漏洞利用的攻擊事故，但IT人員不能掉以輕心。